Infrastruktura klucza publicznego i podpisy elektroniczne

Model bezpieczeństwa. Bezpieczeństwo w systemie TA jest zapewniane przez używanie kodów programowych i wiadomości sygnowanych podpisem elektronicznym, szyfrowanie danych oraz chronionej pamięci kluczy i haseł. Kody programów podpisywane są elektronicznie jeszcze na etapie wytwarzania. Kod podpisany przez generowany fabrycznie klucz prywatny staje się w ten sposób obiektem niemodyfikowalnym i zabezpieczonym - nie może on być ani podmieniony, ani zmieniony. Inne obiekty programowe mogą używać odpowiednich kluczy publicznych i wewnętrznej biblioteki weryfikacji do uwierzytelniania komunikacji przed jakąkolwiek wymianą danych.

Podpisywanie wiadomości zapewnia dokładniejsze usługi uwierzytelniania. Proces konfiguracyjny generuje klucze podpisu cyfrowego dla RA, CA i serwera audytu. Tym sposobem zapewniona jest sygnowana komunikacja między komponentami. Szyfrowanie danych stosowane jest do wszystkich informacji zapamiętanych w pamięci kluczy. Stosowanie DB2 zapewnia również szyfrowanie większości informacji zawartych w bazie danych TA. Pamięć kluczy (KeyStores) to chronione obszary pamięci masowej do przechowywania kluczy prywatnych, certyfikatów i kodów uwierzytelniania wiadomości, a także innych obiektów chronionych. Dla komponentów CA i Audit oraz agentów wspomagających transakcje serwerowe istnieją oddzielne KeyStores. Informacja w każdej KeyStore jest zaszyfrowana i dostępna jedynie poprzez hasło ustanowione dla danej pamięci.

Certification Authority. TA obsługuje certyfikaty X.509v3 w następujących kategoriach:

  • certyfikaty przeglądarki

  • certyfikaty serwera

  • certyfikaty urządzeń (dla urządzeń VPN)

  • certyfikaty dla dostępu do aplikacji zgodnych z PKIX

  • certyfikaty krzyżowe dla CA.

    Każdy certyfikat ma określony termin ważności, determinowany aktualną polityką biznesową. Termin ten może być skrócony przez odwołanie certyfikatu. Brak jest natomiast mechanizmu automatycznego odnawiania ważności certyfikatów i kluczy - użytkownik musi sam zgłosić zlecenie odnowienia do RA.

    Registration Authority. RA zarządza procesem rejestracji użytkowników, wymuszając lokalną politykę biznesową w odniesieniu do tego, kto i w jakim zakresie może być zarejestrowany. Zestaw stron kreowanych apletami Javy zapewnia podstawowe ramy procesu rejestracji, które mogą być dostosowywane na bieżące potrzeby indywidualnych organizacji. Każdy system TA ma pojedynczą domenę rejestracji i obsługuje na ogół jeden serwer RA. Proces rejestracji obsługiwany jest przez zestaw formularzy tworzonych przez aplety Javy, co pozwala na wystawianie zleceń i otrzymywanie certyfikatów za pośrednictwem przeglądarki webowej. W procesie tym uwierzytelniany jest klient oraz serwer, a certyfikaty dostarczane są jedynie zaaprobowanym jednostkom w postaci zaszyfrowanej na całej drodze end-to-end.

    Audyt i raporty. Podsystem audytu zapewnia rejestrowanie zdarzeń istotnych z punktu widzenia bezpieczeństwa. Odbiera on informacje o takich zdarzeniach od klientów systemu audytu - RA i CA - i zapisuje do logu, umieszczonego zazwyczaj w bazie danych DB2, choć może to być również zwykły plik danych. Dla każdego rekordu audytu tworzony jest kod uwierzytelniania wiadomości (MAC - Message Authentication Code). Zapewnia on integralność zawartości bazy danych - nienaruszalność zapisu.

    Klient. Większość użytkowników uzyskuje certyfikaty za pośrednictwem przeglądarki i z tego powodu produkt zawiera zestaw domyślnych stron webowych ăprosto z pudełkaÓ, zapewniających rejestrację z przeglądarki. Na początku użytkownik proszony jest o zainstalowanie podstawowej certyfikacji CA na przeglądarce, następnie kolejne strony webowe służą do wprowadzania informacji niezbędnej do przedłożenia zlecenia certyfikacji. Po wydaniu zlecenia do RA użytkownik ma do dyspozycji unikatowy identyfikator zlecenia i wezwanie/odpowiedź, które może być użyte do kontroli statusu zlecenia. Jeżeli reguły polityki biznesowej dopuszczają automatyczną rejestrację, to zlecenie jest autoryzowane i wykonane przez CA. W przeciwnym razie pozostaje w kolejce RA do momentu autoryzacji przez administratora.

    W przypadku braku przeglądarki zapewniona jest aplikacja Trust Authority Client, pracująca na Windows 9x/NT.


  • TOP 200